Le Wi-Fi du café, de l’aéroport ou de l’hôtel rend service, surtout quand la 4G ou la 5G fait grise mine. En échange, il récupère des indices sur votre appareil, vos horaires et une partie de vos usages. Avant de céder à la panique, mieux vaut savoir ce qui est réellement visible, et ce qui relève davantage du mythe.
Les réseaux Wi-Fi publics ont longtemps été le plan A, à une époque où les forfaits mobiles coûtaient cher et où les enveloppes de data fondaient en une heure. Aujourd’hui, on s’y connecte moins par nécessité que par réflexe, par confort, ou parce que la couverture mobile n’est pas toujours au rendez-vous. Le souci, c’est que le Wi-Fi public n’est pas un simple tuyau neutre. C’est un réseau géré par quelqu’un, avec ses règles, ses outils d’analyse, ses journaux, parfois ses intérêts commerciaux.
L’objectif n’est pas de vous convaincre de bannir ces réseaux, ni de vous faire croire qu’ils lisent votre vie en clair à la moindre connexion. Il s’agit plutôt de remettre les choses à leur place, avec un principe facile à retenir. Un Wi-Fi public voit presque toujours qui se connecte et comment ça circule. Il ne voit pas forcément ce qui se dit, mais il dispose quand même d’une fenêtre très confortable sur vos habitudes numériques, surtout si vous ne regardez jamais ses paramètres ni les vôtres.
Consultez → Comparatif des meilleurs VPN
Quand vous vous connectez, votre appareil en dit déjà beaucoup
Avant même de parler de navigation, il y a tout ce que votre appareil révèle au moment de rejoindre le réseau. Certaines informations sont indispensables au fonctionnement du Wi-Fi, d’autres dépendent de vos réglages, de votre système, et de la manière dont le réseau est administré.
Le réseau peut identifier votre appareil via un identifiant utilisé sur le Wi-Fi, souvent appelé adresse MAC. Pendant longtemps, cet identifiant a servi de repère stable pour reconnaître un appareil lorsqu’il revenait sur le même hotspot. Les systèmes modernes ont réduit ce suivi en utilisant davantage d’adresses aléatoires, surtout sur smartphone, mais ce n’est pas une garantie absolue. Selon l’appareil, la version du système, la façon dont le réseau est configuré et la manière dont vous vous connectez, un exploitant peut encore relier plusieurs sessions et les associer à des horaires, une durée de présence et un volume de données. Et même quand l’adresse MAC change, d’autres signaux peuvent suffire à recoller les morceaux, notamment si vous passez par un portail d’accès qui vous demande une identité, un numéro, un mail ou un compte.
Le réseau voit aussi des informations de contexte. Votre téléphone ou votre ordinateur annonce sa manière de se connecter et ses capacités techniques. Il peut également envoyer un nom d’appareil ou un nom d’hôte lors de l’obtention d’une adresse IP. Si vous avez laissé un nom très parlant au moment de la configuration (« iPhone de Claire », « MacBook de Thomas »), il peut apparaître dans les outils d’administration et, selon les réglages de partage et de découverte réseau, il peut aussi être visible sur le réseau local. Ce n’est pas automatique, mais c’est assez fréquent pour mériter un minimum de prudence sur la façon dont vous nommez vos appareils.
Enfin, un Wi-Fi public garde une trace de votre passage. Même quand l’exploitant ne cherche pas à profiler qui que ce soit, il conserve souvent des journaux techniques pour comprendre les pannes, gérer la charge, limiter certains abus ou diagnostiquer un problème. À partir de là, on déduit déjà des choses simples, comme vos heures de connexion, la durée, et la fréquence si vous revenez régulièrement.
Votre activité en ligne, ce que le Wi-Fi peut voir et ce qu’il ne voit pas
C’est le point qui mérite le plus de nuance, parce que beaucoup de discours sur le sujet mélangent tout. Un Wi-Fi public peut observer votre trafic. La question est de savoir ce qu’il peut en tirer.
La plupart des sites et services sérieux utilisent aujourd’hui le HTTPS. Cela change beaucoup la donne. Le contenu des pages, les mots de passe, les messages, les paiements, tout cela est chiffré entre votre appareil et le service. Un Wi-Fi public ne lit pas le texte de ce que vous écrivez sur un site correctement sécurisé, et il ne lit pas non plus le contenu des messages dans une application qui chiffre ses échanges.
En revanche, même quand le contenu est chiffré, conserve un accès à certaines métadonnées. Il voit à quels serveurs vous vous connectez, à quels moments, avec quels volumes, et il peut en déduire des familles d’usages. Les noms de domaine peuvent aussi fuiter, soit via des requêtes DNS quand elles ne sont pas chiffrées, soit via le SNI au début d’une connexion TLS (le champ qui indique au serveur quel site vous visez pour qu’il présente le bon certificat), souvent en clair. Des dispositifs plus récents, comme DoH, pour DNS over HTTPS, qui chiffre les requêtes DNS, ou ECH, pour Encrypted Client Hello, qui masque notamment le SNI, limitent ces fuites, mais leur activation et leur disponibilité varient selon les appareils, les navigateurs et les sites.
Autre point généralement oublié, l’adresse IP des serveurs contactés peut aussi parler. Elle ne dit pas toujours explicitement quel service se cache derrière, surtout avec les grandes plateformes qui mutualisent leurs infrastructures, mais elle donne des indices. À grande échelle, et avec des outils adaptés, il est possible de classer des usages, de distinguer le streaming de la visioconférence, de repérer une mise à jour système, ou d’identifier des pics d’activité.
La vraie limite, c’est que ces observations ne livrent pas automatiquement votre identité civile. Elles dressent un profil d’usage, qui devient plus précis si vous vous authentifiez sur un portail captif, si vous laissez des cookies, si vous utilisez une appli liée à un compte, ou si vous réutilisez le même appareil sur les mêmes lieux.
Ce qui relève du fantasme, et ce qui est plus réaliste
On lit parfois que les hotspots récupèrent votre historique complet, vos messages, vos fichiers, comme si tout passait en clair. C’est beaucoup trop général. Dans la majorité des cas, le web moderne et les applications sérieuses chiffrent leurs échanges, et le Wi-Fi ne « voit » pas l’intérieur. En revanche, il peut filtrer, ralentir, ou forcer des redirections, ce qui change déjà pas mal l’expérience.
Le risque se déplace plutôt sur trois zones. D’abord, les services non chiffrés ou mal conçus. Ils existent encore, surtout dans des outils anciens, des applis obscures, certains objets connectés, ou des interfaces web négligées. Là, le Wi-Fi peut effectivement observer beaucoup plus, voire modifier ce qui transite.
Ensuite la collecte de métadonnées, qui suffit à faire du marketing ou de la statistique. Même sans lire le contenu, on peut construire des segments de fréquentation, mesurer la fidélité, repérer les heures de pointe, distinguer des profils d’usage. Ce n’est pas de l’espionnage au sens romanesque, mais c’est une forme de suivi.
Enfin, le scénario du faux Wi-Fi, celui qui imite un réseau légitime. C’est la version la plus dangereuse, parce que l’objectif n’est plus de gérer un service, mais de piéger. Le nom du réseau ressemble à celui du café, votre appareil s’y connecte parce que vous avez activé la connexion automatique, et vous voilà sur un point d’accès contrôlé par un tiers. Même là, le chiffrement du web protège une partie des échanges, mais l’attaquant peut tenter des manipulations, afficher de fausses pages de connexion, pousser à installer un certificat, ou jouer sur la confusion.
Pourquoi un Wi-Fi public collecte des infos
Un Wi-Fi public n’analyse pas forcément par curiosité. Plusieurs logiques s’additionnent.
La gestion du réseau arrive souvent en premier. Il faut répartir la bande passante, éviter qu’une personne monopolise tout, détecter les comportements qui saturent la connexion, repérer un appareil qui génère un trafic anormal, et diagnostiquer les pannes. Dans un lieu très fréquenté, ces mesures servent à maintenir un service utilisable pour tout le monde.
Deuxième raison, la statistique. Combien de personnes se connectent, combien reviennent, à quels horaires, avec quelle durée moyenne, dans quelles zones. Ces données peuvent rester internes, mais elles peuvent aussi remonter à l’opérateur ou au prestataire qui gère le Wi-Fi, pour mesurer la fréquentation, repérer les zones saturées et ajuster le réseau.
Le marketing vient ensuite, parfois de manière assumée via un portail captif. Si l’accès au Wi-Fi passe par une page qui vous demande un mail, un numéro de téléphone, un compte de réseau social ou un formulaire, vous donnez une clé d’association très efficace. À partir de là, le suivi ne dépend plus seulement d’un identifiant technique, il peut se rattacher à une identité déclarée. C’est la partie la plus sensible, parce qu’elle transforme un service de connectivité en canal de collecte.
Comment réduire les risques sans se compliquer la vie
L’idée n’est pas de vous priver de Wi-Fi public, mais de reprendre un peu de contrôle. Quelques réglages font une vraie différence, surtout sur smartphone et ordinateur portable.
Désactivez la connexion automatique aux réseaux ouverts, et évitez d’enregistrer des réseaux publics « pour plus tard ». Moins votre appareil se connecte de lui-même, moins vous risquez de tomber sur un réseau au nom trompeur. Sur les réseaux que vous utilisez rarement, oubliez le réseau après usage.
Coupez ce qui n’a rien à faire sur un réseau public. Le partage de fichiers, la découverte réseau, certains services de diffusion locale, et plus largement tout ce qui expose votre machine aux appareils voisins. Sur ordinateur, un réglage de profil réseau public est souvent prévu pour ça. Sur smartphone, c’est plus discret, mais limiter le partage et garder un minimum d’hygiène numérique aide déjà.
Gardez vos appareils à jour. C’est une recommandation banale, mais elle vise un point précis. Sur un réseau public, vous croisez plus de monde, donc plus de tentatives opportunistes, et les failles connues sont les premières exploitées. Un correctif de sécurité installé tard, c’est une fenêtre ouverte.
Évitez les opérations les plus sensibles quand vous n’avez pas confiance dans le réseau. Un achat important, un accès à une interface d’administration, une manipulation professionnelle critique. Si vous avez un partage de connexion mobile correct, il vaut mieux basculer dessus, ne serait-ce que pour limiter l’exposition à un réseau partagé.
Enfin, chiffrez ce qui peut l’être. Un VPN contribue à réduire fortement ce que le Wi-Fi peut déduire de votre navigation, surtout sur la question des domaines consultés, à condition que le trafic et les requêtes DNS passent bien dans le tunnel chiffré, ce qui doit normalement être le cas (sinon, changez de fournisseur). N’oubliez toutefois pas que, comme n’importe quel réseau, le hotspot continuera de voir que vous utilisez un VPN, à quels horaires, et quel volume de données transite. Selon les cas, il pourra aussi reconnaître le fournisseur ou le type de tunnel établi.
Les meilleurs VPN améliorent donc nettement la confidentialité sur un réseau public, mais ils ne vous rendent pas invisibles. Ils ne changent rien non plus aux informations que vous divulguez vous-même, par exemple en vous connectant à un compte, en remplissant un formulaire, ou en laissant votre adresse mail sur un portail captif. De ce point de vue, ils complètent des réflexes de base plutôt qu’ils ne les remplacent, comme vérifier le nom exact du réseau, couper l’auto-connexion, limiter le partage et privilégier sa propre connexion pour les usages les plus sensibles.
